现漏洞 甲骨文 Access Manager 黑客连管理员账号都能霸占 (漏 甲骨文)
雷锋网消息，据外媒美国时间5月3日报道，来自 SEC 漏洞咨询实验室安全研究人员 Wolfgang Ettlinger在甲骨文 Access Manager（以下简称 OAM）上发现了一个安全漏洞，黑客可以利用它远程绕过身份验证程序，接管任何用户的账号。如果黑客愿意，他们连管理员的账号都能霸占。
OAM 不但支持多重身份验证（MFA），还能实现 Web 单点登录（SSO）。此外，会话管理、标准 SAML 联盟和 OAuth 等安全防护一应俱全，方便用户安全的访问移动应用和外部云存储。 不过，这样严密的防护依然存在漏洞。
这次发现的漏洞代号为 CVE-2018-2879，与 OAM 使用的一种有缺陷的密码格式有关。
“OAM 是甲骨文 Fusion MIDdleware 的组成部分之一，后者负责掌控各种类型网络应用的认证。”SEC 的 Ettlinger解释道。
“我们会通过展示证明加密实现的小特性是如何对产品安全造成实际影响的。 只要利用了这一漏洞，我们就能制作任意的身份验证令牌来扮演任何用户，同时还能有效的破坏 OAM 的主要功能。 ”Ettlinger 说道。
Ettlinger 解释称，攻击者可以利用该漏洞找到 OAM 处理加密信息的弱点，诱使该软件意外透露相关信息，随后利用这些信息冒充其他用户。
攻击者能组织一场填充攻击，使甲骨文披露账户的授权 Cookie。随后它就能制作出能生成有效登陆密匙的脚本，想冒充谁就冒充谁。
“在研究中我们发现，OAM 用到的密码格式有个严重的漏洞，只要稍加利用，我们就能制作出会话令牌。拿这个令牌去骗 WebGate 一骗一个准，想接入受保护的资源简直易如反掌。”Ettlinger 解释道。“更可怕的是，会话 Cookie 的生成过程让我们能冒充任意用户名搞破坏。”
雷锋网了解到， OAM 11g 和 12c 版本都受到了该漏洞的影响。
Ettlinger 去年 11 月就将该漏洞报告给了甲骨文，不过 IT 巨头在今年 4 月的补丁更新中才解决了在这一问题。如果你也在用 OAM，还是抓紧时间打补丁来封堵漏洞吧。
雷锋网Via. Security AffAIRs
原创文章，未经授权禁止转载。详情见 转载须知 。
本文地址： /article/83e209f2ae14924185f2.html
PR值全称为PageRank(网页级别)，取自Google的创始人LarryPage。它是Google排名运算法则（排名公式）的一部分，PR查询可以根据域名查出对应网站(可查内页)的PR。
金迈驰专业定制高质量的军用、民航、通航飞机喷漆设备，喷漆机库，直升机喷漆房，烘干室，航空发动机喷漆设备，航空部件喷涂设备，智能自动化涂装产线；机场维修、喷漆、打磨、除尘设备。碳纤维复合材料打磨房、喷漆房、复材固化炉、复合材料烘箱，复材冷库、航空洁净室等。产品广泛应用核工业、海工、船舶、兵器、军工企业、航空航天、电子科技、机械制造、汽车生产、铁路机车车辆制造、科研机关院校等高端企业。
天韵之声配音网提供专业的专题配音,广告配音,宣传片配音,多媒体配音,英语配音,童声配音,动画配音,粤语配音,地产配音等.24小时全国配音服务热线：400-009-2819
长空日铸（辽宁）喷砂设备有限公司专业生产数控干式喷砂机,数控液体喷砂机,喷砂机专用配件,液体喷砂机,吸入式干喷砂机等各类喷砂设备
苏州泰鼎智能科技有限公司【热线：0512-63103162】产品涵盖18650锂电池组，21700锂电池组，扫地机器人电池包，BMS和软包电芯三大体系，坚持以客户为中心，以“严谨诚信，务实创新，以人为本，心存感恩”为核心价值观，坚持技术创新，管理创新，希望与各领域的客户一起携手创造未来！
江西晖旭金属制品有限公司成立于2009年，公司地址位于江西省南大门赣州经济技术开发区，2013年又在省城南昌设立新工厂（位于红谷滩二手车市场）借助省城更便捷的物流平台面向全国各地拓展业务
欢迎来到我的技术博客。在这里，我分享我在软件开发、编程语言、前端和后端技术等方面的见解和经验。让我们一起学习和成长！
龙凤祥珠宝集团成立于1998年，主要经营钻石、黄铂金、红蓝宝石、时尚K金、天然翡翠、和田玉、珍珠、珊瑚、琥珀等中高档珠宝饰品。公司自成立以来，坚持秉承“以质为本，以诚为信；星级服务，追求卓越”的经营理念，“睿智进取，厚德载物”的企业精神，先后被授予中国宝玉石协会常务理事单位、中国珠宝玉石首饰行业“放心示范店”、中华全国工商联珠宝商会“特殊贡献奖”、保定市珠宝玉石行业“诚信商家”、河北省无偿献血促进奖企业，保定市无偿献血优秀企业等荣誉，并通过ISO9001国际质量体系认证。
青岛三木机械设备有限公司生产裁板锯，为您提供裁板锯价格，裁板锯参数等信息，精密裁板锯、砂光机、木工排钻以及相关辅助设备等木工机械已有二十余年生产经验，是一家专业木工机械生产厂家
中信银行是中信集团旗下最大子公司，您可通过中信银行官方网站了解并办理理财、私人银行、出国金融、申请信用卡、个人不动产抵押贷款等业务，为您提供一站式综合金融服务，让您快乐享不停！
寻找免费游戏下载？我们推荐最新的单机游戏大型MOD，提供高品质游戏体验，免费下载，快来体验吧！
上海梁朋集装箱运输有限公司
雷锋网消息，还记得那个会耍贱卖萌，酷似，机器人总动员，中Wall，E的小家伙Cozmo吗，时隔两年，他终于要有一个名叫Vector的小兄弟了，从，遥控玩具，到，AI宠物，不得不说，第一眼看到Vector，我雷是失望的，Vector的外形和两年前的Cozmo完全一样，犹如孪生，只是外壳主颜色从白色变成了灰色，这让我雷不禁怀疑，这会是大家...。
很多会员都对我们进行了评价并对我们提出了很多很好的建议，我们都衷心的感谢，愿意对我们说的，这说明您是希望与我们一起成长，愿我们更好，不管是赞美还是吐槽，我们都不忘初心，秉持信誉至上的原则全心全意的为大家服务！...。
上海超市超市，集小型超市、便利店及网上商务于一体，致力于提供生活用品、零食果饮等大众产品，自2006年品牌创建起，发展稳健，现加盟店已遍布全国，拥有实体连锁店上万家，有意加盟商众多，那么上海超市超市加盟费用需要多少呢，相信很多人都想了解，下面，小编将针对这个问题，进行详细介绍，上海超市超市加盟费用，，因门店规模大小的不同，分为小型店、...。
近日，国际权威咨询机构IDC发布了，IDCMarketScape，中国公有云网络边缘安全即服务，NESaaS，市场，报告，以下简称IDC报告，，凭借领先的AI安全技术能力，百度在2022年中国公有云网络边缘安全即服务市场评估中处于领导者位置，IDC报告指出，基于百度多年安全实践的总结与提炼，依托人工智能和大数据，在百度安全的全方位技术...。
#天津机场通报无人机造成航班延误#，2024年9月11日晚19时33分，天津滨海机场因无人机造成的公共安保要素，航班起降遭到影响，21时35分，天津滨海机场启动大面积航班延误联结应急处理预案黄色等级照应，截至晚23时，航班延误29架次，敞开8架次，有32架次备降外场，3000余名旅客出行遭到影响，天津滨海机场迅速启动应急措施，踊跃协...。
近日，网传，女子接亲被加要18万彩礼，的视频，引发网民和媒体关注，淮滨县委县政府高度注重，立刻成立由宣传部民政局、公安局、谷堆乡党委政府等部门组成的联结考查组，迅速展开考查解决经查，10月1日，淮滨县谷堆农村民黄某，新郎，与陈某，新娘，举行婚礼，在接亲环节中，因新郎将18.8万元礼金转账至新娘团体银行账户新娘家人以为没有间接纳到礼金便...。
宝来R和宝来1.8T在发起机调校方面存在差异，虽然它们经常使用了相反的发起机，但软件细节调校不同，宝来1.8T减速到100公里，小时须要9秒，而宝来R仅需8.6秒，此外，宝来1.8T的发起机是公众的经典机器，驳回涡轮增压引擎，性能十分低劣，而宝来R则被定义为超级驾驶者之车，可以体验到飞普通的觉得，虽然它们都经常使用了相反的发起机，但在...。
摸索MINICoupe的座位数MINICoupe，这款MINI旗下的跑车，以其共同的双座设计和出色的驾驶功能吸引了广阔车迷的眼球，MINICoupe能否真的是双座车型呢，答案是必需的，MINICoupe的车型尺寸精美，长宽高区分为3728毫米、1683毫米、1388毫米，轴距为2467毫米，这使得它能在拥堵的市区街道上轻松穿越，同时，...。
长沙航空职业技术学院长沙航空职业技术学院位于湖南省长沙市，是湖南省出色初等职业院校、国度优质专科初等职业院校、中国特征高水平高职学校和专业群树立单位...哪些大学开设有特种能源技术与工程专业设特种能源技术与工程专业的大学名单如下院校名称推荐指数北京理工大学，沈阳理工大学，安徽理工大学4.8沈阳工学院，中北大学4.7南京理工大学4...。
长安6363是长安容易产生水温，怠速不说，车壳子薄品质差一点，这车有时刻还会产生怪故障，长安之星6363的发起机为JL466Q1型发起机，长安商用长安之星款1.0MT基本型SC6363B4Y手动是一辆手动型轿车，长安之星6363的发起机突然烧机油还十分重大是什么要素您好我家长安6363的16气门发起机是由于缸套和活塞间隙磨损过大造成的...。
王者荣耀赛事战令系统解析是2265小编为你带来的王者荣耀战令系统分析。更好的帮助你了解王者荣耀中的这个功能，更好的根据自己的需求进行选择，相信你已经迫不及待了，赶快来2265安卓网下载试试吧！ 系统规则赛事战令开启后，所有召唤师登录游戏就可以免费解
Rm压缩器,本软件可以实现多媒体文件的大比例压缩，使您的硬盘成为海量多媒体库。同时，本软件具有输出文件大,您可以免费下载。
Rm压缩器,本软件可以实现多媒体文件的大比例压缩，使您的硬盘成为海量多媒体库。同时，本软件具有输出文件大,您可以免费下载。
儿童期经常久坐，成年后心脏更易损伤,心脏,心脏病,左心室,吸烟
王者荣耀赛事战令系统解析是2265小编为你带来的王者荣耀战令系统分析。更好的帮助你了解王者荣耀中的这个功能，更好的根据自己的需求进行选择，相信你已经迫不及待了，赶快来2265安卓网下载试试吧！ 系统规则赛事战令开启后，所有召唤师登录游戏就可以免费解
可访是一款非常好用的聊天社交软件，软件操作简单，功能实用，运行速度更加流畅，支持多人同时视频通话，百变风格随心打造，软件具备多端支持、即时通讯、聊天记录和搜索、文件和媒体共享、视频和语音通话、分组和标
很多小伙伴在网上冲浪的时候会看到破递为笑这个梗，相信还有很多小伙伴不是很清楚这是什么意思。下面小编给大家带来破递为笑梗的意思和出处介绍，感兴趣的小伙伴们一起看看吧。破递为笑是什么梗是网友们用来指一些网友在双十一剁手太多而伤心落泪，但是一旦快递来了就会开心得笑出来，于是就有了破递为笑这个梗，其实跟破涕为笑是谐音。破递为笑表情包
